# SOC 2 Type 1 还是 Type 2：客户没说清楚时怎么选

> 大多数企业客户最终要的是 Type 2。如果客户截止日期很近、又接受过渡材料，可以先出 Type 1 并同步启动 Type 2 观察期；如果时间允许，直接做 Type 2 往往更省钱。

来源页面: https://assurelane.ai/insights/soc-2-type-1-vs-type-2/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 两者的区别

| 维度 | Type 1 | Type 2 |
| --- | --- | --- |
| 评价对象 | 系统描述 + 控制设计是否适当、是否已实施 | 在 Type 1 基础上，加上控制在一段期间内是否有效运行 |
| 时间维度 | 某一时点（例如 2026 年 6 月 30 日） | 一段期间（常见 3、6 或 12 个月） |
| 审计师测试 | 询问、观察、检查文件 | 在期间内抽样检验运行证据 |
| 客户认可度 | 过渡材料 | 多数企业客户的最终要求 |
| 准备时间 | 控制设计到位即可 | 观察期内证据必须持续形成 |

## 三个判断问题

**1. 客户原文怎么写？** 如果写明“Type II”或“operating effectiveness”，就只能以 Type 2 为目标；如果只写“SOC 2”，请客户确认是否接受 Type 1。

**2. 截止日期在什么时候？** Type 2 的最短路径大约是：准备 2–3 个月 + 观察期至少 3 个月 + 报告出具数周。若客户要求在 3 个月内提供材料，Type 2 来不及，可以协商以 Type 1 或准备度说明过渡。

**3. 预算如何？** 先做 Type 1 再做 Type 2 意味着两次 CPA 鉴证费用。如果客户接受等待，直接做 Type 2 通常总成本更低。

## 常见的组合路径

- **路径 A：直接 Type 2**。准备 → 观察期 3–6 个月 → 首份 Type 2 报告，之后每 12 个月一份。
- **路径 B：Type 1 过渡**。准备 → Type 1 报告（给急需的客户）→ 同时启动观察期 → Type 2 报告。
- **路径 C：短观察期起步**。首份 Type 2 用 3 个月观察期尽快出报告，之后转为 12 个月滚动周期。

选择哪条路径，关键是在启动前和客户、CPA 三方对齐。

## 常见问题

### Type 1 报告有效期多久？

SOC 2 报告没有正式的有效期。但 Type 1 只反映某一时点的状态，客户通常只把它当作过渡材料，并会追问 Type 2 的计划。

### 可以跳过 Type 1 直接做 Type 2 吗？

可以，而且很常见。只要在观察期开始前控制已经设计到位并开始运行，就可以直接进入 Type 2。很多团队会在观察期开始前做一次准备度评估来替代 Type 1 的作用。

## 参考来源

- [AICPA & CIMA — SOC 2](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。